Hackeo chino: el DOJ corrige sus declaraciones y reduce el número de víctimas confirmadas

El Departamento de Justicia de Estados Unidos acaba de modificar un comunicado oficial sobre una operación de ciberespionaje chino — una corrección que cambia radicalmente el alcance del caso.

Agencias tan sensibles como la NASA, la Reserva Federal o el Senado estadounidense figuraban inicialmente como víctimas. La realidad es más matizada, y el DOJ ha tenido que reconocerlo públicamente.

Esta rectificación plantea serias preguntas sobre el rigor de las comunicaciones oficiales en materia de ciberseguridad — y sobre el alcance real de la amenaza china contra las infraestructuras críticas estadounidenses.

El DOJ rectifica: objetivos vs. víctimas, una distinción fundamental

El 26 de agosto de 2026, el Departamento de Justicia publica un comunicado de prensa describiendo una campaña de ciberespionaje orquestada por QTFY, un grupo patrocinado por la República Popular China. En su versión inicial, el texto designaba como víctimas a una lista de agencias federales de primer nivel: la NASA, la Reserva Federal estadounidense, el Senado de Estados Unidos, el Departamento de Energía, el propio Departamento de Justicia, el Departamento de Salud y Servicios Humanos (HHS), así como los Institutos Nacionales de Salud (NIH).

El problema: el affidávit subyacente — el documento jurídico que respalda las incautaciones de dominios — no confirma intrusiones en todas esas entidades. El DOJ corrige entonces su comunicado y sustituye el término «víctimas» por «objetivos». Una nota aclaratoria precisa que las modificaciones pretenden «reflejar con exactitud las alegaciones del Gobierno recogidas en el affidávit».

Esta distinción no es baladí. En el ámbito de la ciberseguridad, ser un objetivo significa que se ha detectado o supuesto un intento de intrusión — sin que la vulneración del sistema esté probada. Ser una víctima implica una intrusión confirmada con acceso efectivo a los datos o los sistemas. Confundir ambos conceptos en un comunicado oficial constituye un error factual de primer orden.

Lo que el affidávit revela realmente: intrusiones confirmadas, pero limitadas

Según los elementos del affidávit, las intrusiones realmente confirmadas se concentran en un perímetro más reducido de lo que sugería el comunicado inicial. En septiembre de 2024, tres laboratorios nacionales dependientes del Departamento de Energía fueron comprometidos, junto con los NIH, una agencia del HHS y un fabricante estadounidense de dispositivos de seguridad informática.

El intento de hackeo dirigido contra la NASA, en cambio, fracasó. La agencia espacial había aplicado un parche sobre el software atacado por QTFY antes de que la intrusión pudiera materializarse — un caso de manual en materia de gestión de vulnerabilidades. Este detalle ilustra la importancia crítica de las actualizaciones de seguridad en la protección de las infraestructuras sensibles.

La corrección del DOJ reduce, por tanto, de forma significativa el balance oficial de esta campaña de ciberespionaje de largo alcance contra las redes estadounidenses. También plantea una pregunta de fondo: ¿cómo pudo una agencia tan rigurosa como el Departamento de Justicia publicar un comunicado tan alejado de los hechos establecidos en su propio affidávit? Para los actores de la ciberseguridad — y para los mercados cripto que vigilan de cerca los riesgos sistémicos vinculados a las infraestructuras financieras — este tipo de imprecisión oficial alimenta una desconfianza legítima hacia la comunicación institucional en tiempos de crisis.